Le cloud le plus sécurisé dépend autant du cadre juridique qui encadre l’hébergeur que de l’architecture technique déployée. Le chiffrement seul ne suffit pas à garantir la protection des données : la localisation des serveurs, la structure capitalistique du fournisseur et la résistance aux réquisitions judiciaires pèsent tout autant. Depuis 2025, l’Europe a durci ses exigences, et la frontière entre un cloud « chiffré » et un cloud réellement sûr au sens réglementaire s’est nettement creusée.
Droit extraterritorial et cloud sécurisé : le poids de la juridiction du fournisseur
La plupart des guides en ligne classent les services cloud selon leur protocole de chiffrement ou leur politique zero-knowledge. Ces critères comptent, mais ils laissent de côté une question de fond : la juridiction du fournisseur détermine qui peut accéder à vos données.
A lire en complément : Des failles critiques détectées dans certains routeurs domestiques
Un service hébergé aux États-Unis ou opéré par une société américaine reste soumis au CLOUD Act, qui autorise les autorités fédérales à exiger l’accès aux données stockées, y compris sur des serveurs situés en Europe. Le chiffrement de bout en bout atténue ce risque, à condition que le fournisseur ne détienne pas les clés.
En France, le référentiel SecNumCloud 3.2 de l’ANSSI impose des conditions strictes pour qu’un cloud soit qualifié de « souverain » : actionnariat intégralement européen et immunité vis-à-vis du CLOUD Act. Cela exclut de facto les filiales européennes de groupes américains. Pour des données de santé, de défense ou liées à l’administration publique, un cloud techniquement irréprochable mais juridiquement exposé ne remplit pas les critères.
A voir aussi : Les sauvegardes automatiques protègent contre la perte de données
Chiffrement côté client et zero-knowledge : ce que cela change concrètement
Le chiffrement de bout en bout (ou côté client) signifie que vos fichiers sont chiffrés sur votre appareil avant d’être envoyés au serveur. Le fournisseur ne possède pas la clé de déchiffrement : même en cas de réquisition judiciaire, il ne peut pas lire vos données.
C’est le modèle adopté par pCloud (via son option Crypto), Proton Drive, Internxt ou encore Tresorit. En revanche, des services comme Google Drive ou Dropbox chiffrent les fichiers en transit et au repos sur leurs serveurs, mais conservent les clés. Le fournisseur peut techniquement accéder au contenu.
La distinction est parfois floue dans le marketing des services. Vérifiez si le chiffrement zero-knowledge est activé par défaut ou proposé en option payante. Chez pCloud, par exemple, la couche Crypto est un supplément distinct de l’abonnement de stockage.
Limites du chiffrement côté client
Ce modèle a une contrepartie : la perte de la clé ou du mot de passe maître rend les fichiers irrécupérables. Le fournisseur ne peut pas vous aider. C’est un choix de conception, pas un défaut, mais il faut en être conscient avant de migrer l’intégralité de ses données.
Les fonctions de recherche dans les fichiers et de prévisualisation sont aussi limitées, puisque le serveur ne peut pas lire le contenu. La collaboration en temps réel devient plus complexe à implémenter dans une architecture zero-knowledge.
Data Act européen et portabilité : un indicateur de maturité pour les fournisseurs cloud
Le Data Act (Règlement 2023/2854) impose aux fournisseurs cloud de permettre le changement de prestataire dans un délai maximal de 30 jours. La suppression totale des frais de sortie est prévue d’ici janvier 2027.
Ce critère ne concerne pas directement le chiffrement, mais il révèle la philosophie du fournisseur. Un service qui rend la migration difficile ou coûteuse crée une dépendance (vendor lock-in) qui peut devenir un risque de sécurité en soi : si le prestataire subit une faille majeure, vous devez pouvoir partir rapidement.
Les services qui facilitent déjà l’export (formats standards, API ouvertes) se positionnent mieux face à cette obligation. Nextcloud, en tant que solution auto-hébergeable, échappe largement à cette problématique puisque les données restent sur vos propres serveurs.
Sauvegardes et ransomware : la faille que le chiffrement ne couvre pas
Des études récentes montrent que les groupes de ransomware ciblent désormais les sauvegardes cloud avant de déclencher le chiffrement des données de production. La majorité des attaques par ransomware visent les copies de sauvegarde en priorité.
Un cloud sécurisé ne se limite donc pas au chiffrement des fichiers actifs. Les critères à vérifier :
- L’immutabilité des sauvegardes, qui empêche leur modification ou suppression pendant une période définie, même par un compte administrateur compromis
- La séparation physique ou logique entre les données de production et les sauvegardes, pour éviter qu’un attaquant ayant accès à l’un puisse atteindre l’autre
- La présence d’un historique de versions (versioning) permettant de restaurer un état antérieur à l’attaque, fonctionnalité proposée par pCloud, Internxt et la plupart des solutions professionnelles
Chaque service grand public couvre certains de ces aspects, mais aucun ne les réunit tous avec le même niveau de garantie. Les solutions professionnelles (Wasabi, Backblaze B2 avec verrouillage d’objets) offrent des garanties d’immutabilité plus robustes, mais elles s’adressent à un public technique.
Confidential computing et attestation matérielle : la prochaine couche de sécurité cloud
Le chiffrement protège les données au repos et en transit. La question restante concerne les données en cours de traitement, exposées en mémoire vive. Le confidential computing répond à ce problème en isolant les traitements dans des enclaves matérielles (TEE) où même l’opérateur du datacenter ne peut pas lire les données.
Les grands fournisseurs d’infrastructure (AWS, Azure, GCP) proposent désormais des machines virtuelles confidentielles. L’attestation matérielle, qui permet de vérifier cryptographiquement que l’enclave n’a pas été altérée, progresse comme mécanisme de contrôle dans les architectures zero-trust.
Pour les utilisateurs de services grand public, cette technologie reste en arrière-plan. En revanche, pour les entreprises qui hébergent des données sensibles dans le cloud, le confidential computing réduit la surface d’attaque là où le chiffrement classique s’arrête.
Un indépendant stockant des fichiers personnels trouvera dans pCloud ou Proton Drive un niveau de protection largement suffisant grâce au chiffrement zero-knowledge et à la juridiction suisse. Une entreprise manipulant des données de santé devra s’orienter vers un prestataire qualifié SecNumCloud. Le choix dépend du type de menace identifié, du cadre réglementaire applicable et du niveau de contrôle technique que l’organisation est prête à assumer.
